Privacy Policy di DutyTask

DutyTask è un servizio offerto da:

GR SOLUZIONI DI GIUSEPPE RICCIO Impresa individuale P. IVA: 11121011214 REA: NA-1156478 Email: hello@dutytask.com

Nel seguito, “DutyTask”, “noi” o il “Titolare” indicano GR SOLUZIONI DI GIUSEPPE RICCIO.

La presente Privacy Policy descrive il trattamento dei dati personali effettuato attraverso il sito web e l’applicazione DutyTask.

Si applica ai visitatori del sito, ai titolari e amministratori delle aziende registrate, ai dipendenti e agli altri utenti autorizzati a utilizzare il servizio, nonché alle persone che contattano DutyTask per assistenza, informazioni commerciali o altre richieste.

DutyTask è progettato principalmente per l’utilizzo in ambito professionale e aziendale.

Per i dati relativi alla registrazione degli account, alla gestione del rapporto commerciale, alla fatturazione, alla sicurezza del servizio, all’assistenza e all’amministrazione della piattaforma, GR SOLUZIONI DI GIUSEPPE RICCIO opera generalmente come Titolare del trattamento.

Quando un’azienda utilizza DutyTask per gestire dati relativi ai propri dipendenti, collaboratori, attività operative, allegati e relativa cronologia, l’azienda cliente determina generalmente le finalità del trattamento e opera come Titolare del trattamento, mentre DutyTask tratta tali informazioni per suo conto in qualità di Responsabile del trattamento.

Il trattamento effettuato da DutyTask per conto delle aziende clienti deve essere disciplinato da un accordo ai sensi dell’art. 28 GDPR. Il GDPR prevede infatti specifici obblighi contrattuali quando il trattamento è affidato a un responsabile esterno.

L’azienda cliente resta responsabile della liceità dei dati inseriti in DutyTask e degli adempimenti informativi nei confronti dei propri dipendenti e collaboratori.

DutyTask può trattare le seguenti categorie di dati.

Dati dell’account e identificativi: nome, cognome, indirizzo email, ruolo, organizzazione di appartenenza e credenziali tecniche di autenticazione.

Dati aziendali: denominazione dell’organizzazione, settore, paese, impostazioni, piano sottoscritto, aree operative e informazioni relative agli utenti invitati.

Dati operativi: titoli e contenuti delle attività, scadenze, assegnazioni, ricorrenze, priorità, stati, problemi segnalati, relative soluzioni, note, coinvolgimenti, data e ora delle operazioni effettuate.

Allegati: file, immagini o fotografie caricati dagli utenti nell’ambito delle attività.

Cronologia operativa: informazioni relative a chi ha effettuato una determinata azione e quando.

Dati tecnici: indirizzo IP, dati di sessione, informazioni relative al browser o dispositivo, log tecnici e informazioni necessarie alla sicurezza e al funzionamento del servizio.

Dati relativi alle notifiche: identificativi tecnici necessari all’invio delle notifiche push quando l’utente abilita questa funzione.

Dati commerciali e di pagamento: piano sottoscritto, stato dell’abbonamento, identificativi Stripe, dati di fatturazione e informazioni fiscali eventualmente necessarie.

Comunicazioni: dati contenuti nelle richieste inviate all’assistenza o attraverso gli altri canali di contatto.

DutyTask è progettato per mantenere una cronologia delle attività effettuate all’interno dell’organizzazione.

Gli utenti ordinari non possono riscrivere o cancellare arbitrariamente gli eventi della cronologia attraverso le normali funzionalità del prodotto. Questa caratteristica permette al cliente di ricostruire cosa è avvenuto durante la gestione dell’attività.

La presenza di uno storico non significa tuttavia che i dati vengano conservati indefinitamente. La loro conservazione segue i termini indicati nella sezione dedicata della presente informativa.

I manager possono utilizzare la funzione di dettatura per creare attività tramite voce.

Quando viene utilizzata questa funzione, l’audio viene trasmesso al servizio di intelligenza artificiale utilizzato da DutyTask per ottenere la trascrizione e interpretare la richiesta.

L’intelligenza artificiale può proporre, ad esempio, titolo, assegnatario, scadenza, eventuale ricorrenza o richiesta di allegato.

DutyTask non conserva la registrazione audio dopo l’elaborazione.

La proposta ottenuta tramite intelligenza artificiale viene presentata al manager, che può verificarla prima della creazione definitiva dell’attività.

DutyTask può utilizzare sistemi di intelligenza artificiale per generare un riepilogo operativo destinato ai manager.

Per generare il Daily AI Brief vengono trasmesse al fornitore AI informazioni relative ai task e ai relativi stati, nella misura necessaria alla generazione del riepilogo.

Il servizio attualmente utilizzato per queste funzionalità è OpenAI.

OpenAI prevede uno specifico Data Processing Addendum per i servizi destinati ad aziende e sviluppatori e dichiara di operare come responsabile rispetto ai Customer Data trattati per conto del cliente; inoltre, i dati aziendali/API non vengono utilizzati per addestrare i modelli per impostazione predefinita.

DutyTask non utilizza le funzioni di intelligenza artificiale per adottare decisioni esclusivamente automatizzate che producano effetti giuridici o analogamente significativi sugli utenti.

I dati vengono trattati per:

• creare e gestire account e organizzazioni;
• autenticare gli utenti;
• fornire le funzionalità operative di DutyTask;
• gestire attività, ricorrenze, allegati, notifiche, report e cronologia;
• fornire le funzioni di dettatura e intelligenza artificiale richieste;
• gestire prova gratuita, abbonamenti e pagamenti;
• fornire assistenza;
• proteggere account, dati e infrastruttura;
• prevenire abusi, frodi e accessi non autorizzati;
• adempiere agli obblighi amministrativi, fiscali, contabili e legali;
• accertare, esercitare o difendere eventuali diritti.

A seconda dei casi, il trattamento si basa sull’esecuzione del contratto o di misure precontrattuali, sull’adempimento di obblighi legali o sul legittimo interesse alla sicurezza e alla corretta gestione del servizio.

I dati necessari alla creazione dell’account e all’erogazione di DutyTask sono necessari per utilizzare il servizio.

Il mancato conferimento può impedire la registrazione o l’utilizzo di alcune funzionalità.

Le funzioni che richiedono autorizzazioni del dispositivo, come microfono o notifiche push, restano facoltative.

DutyTask utilizza attualmente i seguenti principali fornitori tecnici:

Supabase

Autenticazione, database e storage dei file.

Il progetto principale DutyTask è configurato nella regione West EU (Ireland), eu-west-1. Supabase conferma che la regione scelta determina la localizzazione primaria dei dati del progetto.

Vercel

Hosting e distribuzione dell’applicazione.

Supabase Auth (email)

Inviti e reimpostazione della password sono inviati tramite Supabase Auth. DutyTask non usa Resend né un altro fornitore di email transazionali separato.

Notifiche push

Le notifiche sul dispositivo usano il protocollo Web Push (VAPID) verso i browser dell’utente. Non è un servizio di email.

OpenAI

Trascrizione della dettatura e generazione del Daily AI Brief.

Stripe

Gestione di pagamenti e abbonamenti.

Stripe può operare, a seconda del trattamento, come responsabile o come autonomo titolare e mette a disposizione un proprio Data Processing Agreement.

L’elenco dei fornitori può essere aggiornato nel tempo qualora l’architettura tecnica del servizio venga modificata.

I pagamenti degli abbonamenti DutyTask vengono gestiti tramite Stripe.

DutyTask non acquisisce né conserva direttamente i dati completi delle carte di pagamento.

Stripe può trattare, tra le altre informazioni, nome, indirizzo email, indirizzo di fatturazione, identificativi fiscali, dati relativi al pagamento e dati del metodo di pagamento necessari alla gestione della transazione.

DutyTask conserva invece le informazioni necessarie a conoscere il piano sottoscritto, lo stato dell’abbonamento e gli identificativi tecnici necessari all’integrazione con Stripe.

Il database primario di DutyTask è ospitato in Irlanda, all’interno dell’Unione europea.

Alcuni fornitori utilizzati da DutyTask sono tuttavia organizzazioni internazionali e possono comportare il trattamento di dati al di fuori dello Spazio Economico Europeo.

Quando necessario, tali trasferimenti sono regolati attraverso i meccanismi previsti dalla normativa applicabile, inclusi Data Privacy Framework, decisioni di adeguatezza e Clausole Contrattuali Standard.

Vercel, ad esempio, prevede nel proprio DPA l’utilizzo delle SCC 2021 per i trasferimenti soggetti a tali clausole. Stripe utilizza DPF e SCC secondo le condizioni applicabili. Supabase utilizza SCC e altri meccanismi previsti dal proprio DPA per i trasferimenti extra SEE.

Durante un abbonamento attivo, i dati dell’organizzazione vengono conservati per consentire l’erogazione di DutyTask.

Dopo la disdetta

Quando il Cliente disdice l’abbonamento, DutyTask conserva i dati operativi dell’organizzazione per un periodo massimo di 6 mesi dalla cessazione del servizio.

Questa conservazione ha lo scopo di consentire al Cliente di riattivare DutyTask entro tale periodo ritrovando attività, utenti e cronologia precedentemente presenti.

Trascorsi i 6 mesi, i dati operativi dell’organizzazione vengono cancellati, salvo le informazioni che DutyTask sia tenuta a conservare più a lungo per obblighi legali, amministrativi, fiscali, contabili o per la tutela dei propri diritti.

Cancellazione anticipata su richiesta

Il titolare dell’organizzazione o un soggetto debitamente autorizzato può richiedere la cancellazione anticipata dei dati senza attendere la scadenza dei 6 mesi inviando una richiesta a:

hello@dutytask.com

DutyTask potrà effettuare verifiche ragionevoli sull’identità e sui poteri del richiedente prima di procedere.

Una volta eseguita la cancellazione definitiva, l’organizzazione e il relativo storico operativo non saranno recuperabili.

Restano esclusi dalla cancellazione i dati che devono essere conservati per obblighi di legge o per la tutela di diritti in sede giudiziaria.

Il GDPR riconosce il diritto alla cancellazione quando ne ricorrono i presupposti e disciplina specificamente la restituzione o cancellazione dei dati nei rapporti con i responsabili del trattamento.

Le eventuali copie tecniche presenti nei sistemi di backup possono essere eliminate secondo i normali cicli di backup e disaster recovery dei fornitori.

La registrazione audio utilizzata per la dettatura non viene conservata da DutyTask dopo la sua elaborazione.

DutyTask non utilizza attualmente Google Analytics, Meta Pixel o altri sistemi pubblicitari o di profilazione.

DutyTask registra internamente eventi di prodotto aggregati (ad esempio prima attività creata, primo invito, passaggio da prova a piano a pagamento) per capire se il servizio viene usato. Questi eventi restano nel database di DutyTask, non sono condivisi con piattaforme pubblicitarie e non profilano le persone al di fuori dell’azienda.

Vengono utilizzate esclusivamente tecnologie necessarie al funzionamento del servizio, tra cui strumenti per mantenere la sessione autenticata e preferenze relative a lingua e localizzazione.

I cookie e gli strumenti strettamente tecnici non richiedono consenso preventivo quando utilizzati esclusivamente per le finalità necessarie al servizio; il Garante distingue tali strumenti da quelli di profilazione o tracciamento.

Qualora in futuro DutyTask introducesse strumenti di analytics o marketing che richiedano consenso, le modalità di raccolta del consenso e la presente informativa verranno aggiornate prima della loro attivazione.

DutyTask adotta misure tecniche e organizzative dirette a proteggere i dati trattati.

Tra queste rientrano autenticazione degli utenti, connessioni HTTPS, separazione logica dei dati tra le organizzazioni, controlli di accesso basati sul ruolo e storage privato degli allegati.

Supabase mette inoltre a disposizione un DPA e strumenti specifici per progetti con requisiti GDPR.

Nessun sistema informatico può tuttavia garantire una sicurezza assoluta.

Nei casi previsti dalla normativa applicabile, l’interessato può esercitare i diritti di:

• accesso ai propri dati;
• rettifica;
• cancellazione;
• limitazione del trattamento;
• portabilità;
• opposizione al trattamento.

Quando un trattamento sia eventualmente basato sul consenso, quest’ultimo può essere revocato in qualsiasi momento.

Le richieste possono essere inviate a:

hello@dutytask.com

Quando la richiesta riguarda dati trattati da DutyTask per conto di un’azienda cliente, DutyTask potrà indirizzare la richiesta all’azienda che opera come Titolare del trattamento o collaborare con essa per consentirle di rispondere.

L’interessato può inoltre proporre reclamo al Garante per la protezione dei dati personali.

DutyTask può aggiornare la presente Privacy Policy in seguito a modifiche normative, tecniche, organizzative o dei fornitori utilizzati.

La versione aggiornata sarà resa disponibile sul sito, indicando la relativa data di aggiornamento.

In caso di modifiche sostanziali, DutyTask potrà informare gli utenti anche tramite email o comunicazione all’interno dell’applicazione.